TPM device disconnected

Komunikat TPM device disconnected informuje o utracie komunikacji z fizycznym modułem zaufanej platformy.

Co oznacza komunikat „TPM device disconnected”

Komunikat „TPM device disconnected” oznacza, że system operacyjny lub program korzystający z modułu TPM nie może nawiązać komunikacji z układem Trusted Platform Module. TPM jest elementem sprzętowym odpowiedzialnym między innymi za bezpieczne przechowywanie kluczy kryptograficznych, pomiary integralności procesu uruchamiania oraz obsługę operacji kryptograficznych. W komputerach konsumenckich może występować jako oddzielny moduł podłączony do płyty głównej albo jako TPM firmware’owy zintegrowany z platformą układu scalonego. W praktyce wiele współczesnych komputerów korzysta z rozwiązania firmware’owego, mimo że użytkownik widzi je w systemie jako urządzenie TPM.

Sam komunikat nie wskazuje jeszcze jednej konkretnej przyczyny. Może pojawić się po zmianie ustawień UEFI, aktualizacji BIOS-u, awarii płyty głównej, błędzie oprogramowania układowego, problemie z zasilaniem układu albo utracie połączenia z fizycznym modułem TPM. Jeżeli urządzenie zostało wyłączone w UEFI, system może zachowywać się podobnie jak wtedy, gdy modułu fizycznie nie wykrywa. Istotne jest również odróżnienie chwilowego braku dostępności TPM od jego wyczyszczenia. Wyczyszczenie usuwa zapisane w nim dane, natomiast odłączenie lub niewykrycie oznacza przede wszystkim brak prawidłowej komunikacji.

Wpływ utraty TPM na uruchamianie systemu i szyfrowanie

TPM może przechowywać lub chronić klucze używane przez funkcje systemu Windows, w tym przez szyfrowanie urządzenia i BitLocker. Klucz szyfrujący dysk nie musi być przechowywany w TPM w postaci pozwalającej na jego swobodne odczytanie. Układ może zamiast tego kontrolować, czy komputer uruchomił się w oczekiwanym stanie, i dopiero wtedy odblokować dostęp do klucza. Do tego celu wykorzystywane są między innymi pomiary konfiguracji startowej zapisywane w rejestrach PCR, czyli Platform Configuration Registers.

Po utracie komunikacji z TPM komputer może zażądać klucza odzyskiwania BitLocker, wyświetlić ostrzeżenie dotyczące bezpieczeństwa albo odmówić automatycznego odblokowania dysku. Nie oznacza to automatycznie uszkodzenia danych na nośniku. Oznacza jednak, że próby naprawy wymagające zmiany ustawień UEFI, aktualizacji firmware’u lub wyczyszczenia TPM powinny być poprzedzone sprawdzeniem, czy użytkownik posiada klucz odzyskiwania. Czyszczenie TPM jest operacją destrukcyjną dla danych zapisanych w module: usuwa między innymi chronione klucze i może spowodować konieczność ponownej konfiguracji funkcji korzystających z TPM. Nie należy używać opcji „Clear TPM” jako pierwszej, uniwersalnej metody naprawy.

Rozróżnienie ustawień UEFI, firmware’u i uszkodzenia sprzętowego

Diagnostykę należy rozpocząć od sprawdzenia, czy w UEFI włączona jest funkcja bezpieczeństwa odpowiadająca za TPM. Nazwa zależy od producenta platformy. W komputerach z procesorami firmy Intel może występować określenie Intel Platform Trust Technology, natomiast na platformach AMD spotyka się określenie AMD fTPM. W przypadku oddzielnego modułu płyta główna może udostępniać ustawienie dotyczące urządzenia bezpieczeństwa lub TPM. Zmiana tych opcji może wpłynąć na dostęp do zaszyfrowanego dysku, dlatego przed zapisaniem konfiguracji trzeba zanotować stan ustawień i mieć przygotowany klucz odzyskiwania.

W systemie Windows obecność modułu można sprawdzić za pomocą konsoli „Zabezpieczenia procesora” w ustawieniach zabezpieczeń systemu albo narzędzia systemowego tpm.msc. Jeżeli narzędzie informuje, że nie znaleziono zgodnego modułu TPM, problem występuje na poziomie wykrywania urządzenia, firmware’u lub konfiguracji, a nie tylko w pojedynczej aplikacji. Warto sprawdzić także Menedżer urządzeń, dzienniki systemowe oraz wersję BIOS-u i sterowników dostarczonych przez producenta komputera. Aktualizację BIOS-u należy wykonywać wyłącznie zgodnie z instrukcją producenta i przy stabilnym zasilaniu, ponieważ przerwanie tego procesu może unieruchomić płytę główną.

Jeśli komputer ma oddzielny moduł TPM, można sprawdzić jego osadzenie, ale tylko po odłączeniu zasilania i przy zachowaniu zgodności z dokumentacją płyty głównej. Moduły TPM nie są uniwersalne: różnią się między innymi typem złącza, układem pinów i zgodnością z konkretną płytą. W wielu laptopach użytkownik nie ma dostępu do wymiennego modułu, ponieważ funkcję TPM realizuje firmware platformy. Gdy po prawidłowej konfiguracji UEFI, aktualizacji zalecanego firmware’u i pełnym wyłączeniu komputera urządzenie nadal nie jest wykrywane, prawdopodobne staje się uszkodzenie płyty głównej, układu firmware’owego albo modułu sprzętowego.

Bezpieczna kolejność czynności serwisowych

Przed rozpoczęciem prac trzeba ustalić, czy dysk systemowy jest szyfrowany oraz czy komputer ma zapisany klucz odzyskiwania. Następnie można wykonać pełne zamknięcie systemu, odłączyć dodatkowe zasilanie i ponownie uruchomić komputer, ponieważ pojedynczy błąd inicjalizacji TPM może mieć charakter przejściowy. Kolejne kroki obejmują kontrolę ustawień UEFI, porównanie wersji BIOS-u z dokumentacją producenta oraz sprawdzenie, czy problem pojawił się po konkretnej aktualizacji lub zmianie konfiguracji. Dopiero po zabezpieczeniu kluczy i potwierdzeniu, że standardowe metody nie wystarczają, można rozważyć wyczyszczenie TPM i ponowną rejestrację funkcji korzystających z modułu.

Po naprawie należy zweryfikować nie tylko obecność urządzenia, lecz także jego działanie. W systemie Windows trzeba sprawdzić, czy konsola TPM pokazuje prawidłową gotowość modułu, czy BitLocker może odblokować wolumin bez nieoczekiwanego żądania klucza oraz czy system poprawnie przechodzi kolejne uruchomienie. Jeżeli wymieniono płytę główną lub moduł, wcześniejsze klucze mogą nie być dostępne w nowym TPM, dlatego wymagane może być odblokowanie dysku kluczem odzyskiwania i ponowne skonfigurowanie ochrony. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC oraz ich podzespołów, w tym diagnostyką problemów z wykrywaniem TPM, konfiguracją UEFI i oceną stanu płyty głównej.